Domyślne hasło konsoli ForgeRock OpenIDM otworzyło drogę do aut dwóch marek

Domyślne hasło admin:admin w konsoli administracyjnej ForgeRock OpenIDM pozwoliło badaczom Shubhamowi Shahowi i Samowi Curry'emu przejąć dowolne konto klienta w aplikacjach dwóch marek samochodów. Przy połączonym aucie mogli otworzyć drzwi i uruchomić silnik. Oba systemy naprawiono około dwóch godzin po zgłoszeniu.

Konsola Apache Felix była zablokowana od strony internetu, ale warstwa brzegowa i oprogramowanie Java odczytywały ten sam adres w różny sposób. Wbudowanym harmonogramem badacze uruchomili własny kod na serwerze tożsamości. Zmienili adres e-mail i hasło klienta, zalogowali się w aplikacji i otrzymali te same tokeny dostępu, których używa prawdziwa aplikacja.

Kogo dotyczy

Firmy, które logują klientów przez ForgeRock (obecnie część Ping Identity) z modułem OpenIDM i po wdrożeniu zostawiły konsolę Apache Felix z domyślnym hasłem. Badacze testowali atak w lutym 2026 roku na własnych autach w Stanach Zjednoczonych oraz na autach właścicieli, którzy się na to zgodzili.

Co zrobić

Przewodnik utwardzania ForgeRock każe przed uruchomieniem produkcyjnym usunąć konsolę Apache Felix albo ją zabezpieczyć, bo przechowuje ona własne hasło, osobno od reszty systemu.